服务器MFA自动化脚本的核心目标是兼顾安全与效率，仅支持TOTP、WebAuthn等标准协议，禁用SMS/邮件验证码；通过pyotp生成TOTP令牌并安全集成SSH登录，严格管控密钥存储与运行环境。
服务器多因素认证（MFA）自动化脚本的核心目标是：在不牺牲安全性的前提下，减少人工干预、提升登录与运维效率。关键不是绕过MFA，而是让合法用户通过程序化方式合规地完成MFA验证流程。
明确支持的MFA类型与协议边界
并非所有MFA机制都适合自动化。脚本能可靠集成的通常是基于标准协议的方案：
- TOTP（时间同步一次性密码）：如 Google Authenticator、Microsoft Authenticator 生成的6位码，可通过共享密钥（Base32）和当前时间戳本地计算，是自动化首选
- WebAuthn / FIDO2 密钥（需配套服务端支持）：部分现代SSH服务（如 OpenSSH 8.2+）已支持，但脚本侧通常只触发系统级挑战，不直接处理密钥签名
- SMS/邮件验证码一般不建议自动化：涉及第三方通道、延迟高、不可靠，且多数平台禁止程序批量拉取短信
使用 pyotp 实现 TOTP 自动化登录示例
假设你已将服务器的 MFA 密钥（如 JBSWY3DPEHPK3PXP）安全保存在本地受控环境（如加密配置文件或密钥管理服务），可用以下 Python 片段生成有效令牌：
import pyotp
import time
<p>secret = "JBSWY3DPEHPK3PXP" # 替换为实际密钥
totp = pyotp.TOTP(secret)
token = totp.now() # 生成当前30秒窗口内的6位数字
print(f"Current TOTP: {token}") # 输出如：123456
该 token 可直接用于支持 TOTP 的 SSH 登录工具链（如配合 sshpass 或 Paramiko 封装登录逻辑），但注意：必须确保 secret 存储安全，禁止硬编码在脚本中或提交至代码仓库。
与 SSH 登录流程安全集成
OpenSSH 本身不原生执行 TOTP 计算，需借助 PAM 模块（如 libpam-google-authenticator）在服务端校验。客户端自动化重点在于“按需提供 token”：
- 用
ssh -o PreferredAuthentications=keyboard-interactive -o PubkeyAuthentication=yes user@host触发交互式认证 - 搭配
expect或 Python 的pexpect库捕获提示（如 “Verification code:”）并自动填入pyotp.now()结果 - 更稳妥的做法是封装为 CLI 工具，每次运行时从本地密钥库读取 secret，实时生成 token 并透传，避免 token 长期缓存
安全与运维注意事项
自动化 MFA 不等于降低安全水位，反而要更严格管控风险点：
- 脚本运行环境需限定权限（专用系统用户、最小必要文件访问权）
- TOTP secret 必须加密存储（如用 age、gpg 或云 KMS 加密），解密密钥不得出现在同一主机
- 记录 token 生成与使用日志（不含 token 明文），便于审计异常调用频率
- 定期轮换 MFA secret，并同步更新自动化配置，避免单点长期暴露
